DE19933263A1 - Vorrichtung mit einem Speicher zur Speicherung von Daten und Verfahren zum Einschreiben von Daten in einen Speicher - Google Patents

Abstract

Die beschriebene Vorrichtung zeichnet sich dadurch aus, daß sie dazu ausgelegt ist, in den Speicher einzuschreibende Daten vor dem Einschreiben in den Speicher zu decodieren. Die in den Speicher einzuschreibenden Daten werden in codierter Form bereitgestellt und in der den Speicher enthaltenden Vorrichtung vor dem Einschreiben in den Speicher decodiert. Dadurch ist die Gefahr eines unbefugten Umprogrammierens des Speichers auf ein Minimum reduzierbar.

Description

Die vorliegende Erfindung betrifft eine Vorrichtung gemäß dem Oberbegriff des Patentanspruchs 1 und ein Verfahren gemäß dem Oberbegriff des Patentanspruchs 2, d. h. eine Vorrichtung mit einem Speicher zur Speicherung von Daten und ein Verfahren zum Einschreiben von Daten in einen Speicher.

Speicher zum Speichern von Daten sind in unzähligen Ausfüh­ rungsformen bekannt und bedürfen keiner näheren Erläuterung. Sie können unter anderem, aber bekanntlich bei weitem nicht ausschließlich, in programmgesteuerten Einheiten wie Mikro­ controllern, Mikroprozessoren, Signalprozessoren etc. inte­ griert sein. In diesem Fall werden sie insbesondere zur Spei­ cherung von auszuführende Programme repräsentierenden Daten und/oder von zur Programmausführung benötigten Daten verwen­ det. Insbesondere bei Mikrocontrollern erweist es sich als vorteilhaft, wenn der Speicher wie beispielsweise die soge­ nannten Flash-Speicher ein Speicher ist, der eingeschriebene Daten dauerhaft (auch nach Abschalten der Stromversorgung) gespeichert hält, aber bei Bedarf ein Überschreiben dieser Daten gestattet. Mikrocontroller mit derartigen Speichern er­ weisen sich unter anderem als vorteilhaft, weil sich die im integrierten Speicher gespeicherten Daten vor einem unbefug­ ten Auslesen oder einem unbefugten Verändern schützen lassen.

Ein zuverlässiger Schutz vor einem unbefugten Verändern von im Speicher gespeicherten Daten ist beispielsweise, aber selbstverständlich bei weitem nicht ausschließlich erforder­ lich, wenn der den Speicher enthaltende Mikrocontroller in einem Kraftfahrzeug-Steuergerät eingesetzt wird. Die im Spei­ cher gespeicherten Daten bestimmen in diesem Fall unter ande­ rem die Steuerung des Motors und werden deshalb von ins­ besondere von Tuning-Firmen nicht selten verändert, um so die Eigenschaften (insbesondere die Leistung) des Motors zu ver­ bessern.

Solche Eingriffe führen häufig dazu, daß der Motor oder son­ stige Bestandteile des Kraftfahrzeuges überbeansprucht werden und früher als normal kaputt gehen. Wenn dies bereits inner­ halb der Garantiezeit geschieht, muß nicht selten der Fahr­ zeughersteller für die Behebung des Schadens aufkommen. Zwar haben Eingriffe in das Kraftfahrzeug-Steuergerät in der Regel einen Verlust der Garantie zur Folge, doch kann der Fahrzeug­ hersteller insbesondere dann, wenn nach dem Schaden der ur­ sprüngliche Zustand des Kraftfahrzeug-Steuergerätes wieder­ hergestellt wird, einen solchen Eingriff nur vermuten, aber nicht nachweisen. Hierdurch kann dem Fahrzeughersteller im Lauf der Zeit ein beträchtlicher Schaden entstehen.

Abgesehen davon können Eingriffe in die Motorsteuerungen auch zu rechtlichen Problemen führen; solche Manipulationen können das Erlöschen der Betriebserlaubnis für die betreffenden Fahrzeuge zur Folge haben.

Aus den genannten Gründen wird bereits seit längerem ver­ sucht, ein unbefugtes Überschreiben von in internen Speichern von Mikrocontrollern gespeicherten Daten zu verhindern oder wenigstens erkennbar zu machen. Hierzu existieren zwei Mög­ lichkeiten.

Die erste Schutz-Möglichkeit besteht im Anbringen von Sie­ geln, Plomben und dergleichen am Mikrocontroller oder dessen Umgebung, und zwar derart, daß diese Siegel, Plomben etc. zerstört oder beschädigt werden müssen, um den für eine Um­ programmierung erforderlichen Zugang zum Mikrocontroller zu erhalten.

Die zweite Schutz-Möglichkeit besteht im Vorsehen von (nicht allgemein bekannten) Umprogrammier-Paßwörtern oder im Vor­ schreiben einer ganz bestimmten (nicht allgemein bekannten) Vorgehensweise beim Umprogrammieren. Die vorgeschriebene Vor­ gehensweise kann beispielsweise darin bestehen, daß zum Ein­ leiten der Umprogrammier-Betriebsart eine vorbestimmte Si­ gnalfolge an vorbestimmte Ein- und/oder Ausgabeanschlüsse an­ gelegt werden muß.

Diese beiden Schutzmöglichkeiten schränken die Manipulations­ möglichkeiten erheblich ein; zumindest kann (bei der erst­ genannten Möglichkeit) festgestellt werden, ob eine Um­ programmierung erfolgt ist oder versucht wurde.

Keine der genannten Schutzmöglichkeiten bietet jedoch einen umfassenden Schutz gegen Umprogrammierungen von Speichern. Dies liegt daran, daß Werkstätten (zumindest die Vertrags­ werkstätten des betreffenden Fahrzeugherstellers) autorisiert und befähigt sein müssen, den Speicher umzuprogrammieren; solche Umprogrammierungen sind mitunter erforderlich, um vom Fahrzeughersteller veranlaßte Fehlerbeseitigungen oder Ver­ besserungen durchführen zu können. Wenn weltweit sämtliche Werkstätten über die Geräte und/oder das Wissen zur Um­ programmierungen von Mikrocontrollern verfügen, ist es nur eine Frage der Zeit, bis Informationen hierüber an die Öf­ fentlichkeit gelangen und/oder bis sich Werkstätten oder An­ gestellte von Werkstätten finden lassen, die bereit sind, von den Fahrzeugbesitzern gewünschte Umprogrammierungen vor­ zunehmen.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, 4 die Gefahr eines unbefugten Umprogrammierens von Speichern auf ein Minimum zu reduzieren.

Diese Aufgabe wird erfindungsgemäß durch die im kennzeichnen­ den Teil des Patentanspruchs 1 (Vorrichtung) beanspruchten Merkmale und/oder durch die im kennzeichnenden Teil des Pa­ tentanspruchs 2 (Verfahren) beanspruchten Merkmale gelöst.

Demnach ist vorgesehen,

• - daß die Vorrichtung dazu ausgelegt ist, in den Speicher einzuschreibende Daten vor dem Einschreiben in den Speicher zu decodieren (kennzeichnender Teil des Patentanspruchs 1), bzw.
• - daß die in den Speicher einzuschreibenden Daten in codier­ ter Form bereitgestellt werden und in der den Speicher ent­ haltenden Vorrichtung vor dem Einschreiben in den Speicher decodiert werden (kennzeichnender Teil des Patentanspruchs 2).

Die in den Speicher einzuspeichernden Daten können dadurch nicht wie bisher direkt in den Speicher eingeschrieben wer­ den, sondern müssen zunächst so codiert werden, daß sie bei dem dem Einschreiben der Daten in den Speicher vorangehenden Decodieren derselben in die in den Speicher einzuschreibenden Daten zurücktransformiert werden. Bei Verwendung von nicht vorschriftsmäßig codierten Daten wird der Speicher nicht oder nicht wunschgemäß umprogrammiert.

Die Art und Weise, in welcher die in den Speicher einzuspei­ chernden Daten codiert werden müssen, um nach dem Decodieren wieder zu den ursprünglichen Daten zu werden, muß den die Um­ programmierung vornehmenden Stellen nicht bekannt sein; zum Umprogrammieren des Speichers müssen "nur" vorschriftsmäßig codierte Daten vorliegen. Die die Umprogrammierung vornehmen­ den Stellen sind damit nicht oder jedenfalls nicht auto­ matisch in der Lage, in den Speicher einzuspeichernde Daten selbst vorschriftsmäßig zu codieren. Sie können dadurch selbst dann, wenn sie wollten, keine eigenmächtige Um­ programmierung des Speichers vornehmen.

Um kundenspezifische Sonderwünsche berücksichtigende Daten zu erhalten, müssen diese vom Systemhersteller angefordert wer­ den; dieser oder eine von diesem beauftragte Stelle, und zwar nur diese, kann daraufhin die Sonderwünsche berücksichtigende Daten generieren, codieren und an den Auftraggeber aus­ liefern.

Dadurch hat der Systemhersteller oder eine von diesem be­ auftragte Stelle stets die Kontrolle darüber, ob und gegebe­ nenfalls wie der Speicher umprogrammiert wird.

Die Gefahr eines unbefugten Umprogrammierens von Speichern ist so erkennbar auf ein Minimum reduzierbar.

Vorteilhafte Weiterbildungen der Erfindung sind den Unter­ ansprüchen, der folgenden Beschreibung und der Figur entnehm­ bar.

Die Erfindung wird nachfolgend anhand eines Ausführungs­ beispiels unter Bezugnahme auf die Zeichnung näher erläutert.

Die Figur zeigt schematisch den Aufbau einer einen um­ programmierbaren Speicher enthaltenden Vorrichtung.

Der Speicher, der vor einem unbefugten Umprogrammieren ge­ schützt werden soll, ist im betrachteten Beispiel Bestandteil einer programmgesteuerten Einheit, genauer gesagt eines Mi­ krocontrollers. Es sei jedoch bereits an dieser Stelle darauf hingewiesen, daß der Speicher auch Bestandteil von anderen programmgesteuerten Einheiten wie von Mikroprozessoren, Si­ gnalprozessoren etc. sein kann. Es kann sich auch um einen anderswo (in einer beliebigen anderen Vorrichtung) vorgesehe­ nen Speicher oder einen separaten Speicher handeln.

Der betrachtete Speicher ist im betrachteten Beispiel ein Flash-Speicher. Es kann sich aber auch um einen beliebigen anderen umprogrammierbaren Speicher wie beispielsweise ein RAM, ein EPROM, ein EEPROM, aber auch um einen Magnetspeicher oder einen optischen Speicher handeln.

Der vorliegend betrachtete Mikrocontroller ist in der Figur mit dem Bezugszeichen 1 bezeichnet. Von diesem Mikro­ controller werden vorliegend jedoch nur die hier besonders interessierenden Bestandteile desselben gezeigt und beschrie­ ben; der prinzipielle Aufbau eines Mikrocontrollers sowie die Funktion und Wirkungsweise der vorliegend unberücksichtigt gelassenen Bestandteile desselben sind allgemein bekannt und bedürfen keiner näheren Erläuterung.

Der Mikrocontroller 1 umfaßt einen Speicher 11 und eine Deco­ diereinheit 12.

Bei dem Speicher 11 handelt es sich, wie vorstehend bereits erwähnt wurde, um einen Flash-Speicher. Der Speicher 11 ist ein interner Programm- und/oder Datenspeicher des Mikro­ controllers 1; er dient zur Speicherung von Daten, die vom Mikrocontroller auszuführende Programme repräsentieren, und/oder zur Speicherung von zur Programmausführung benötig­ ten Daten.

Die Daten, mit denen der Speicher 11 beschrieben ist oder be­ schrieben werden soll, können diesem von außerhalb des Mikro­ controllers 1 (über Ein- und/oder Ausgabeanschlüsse IO1 bis IOn desselben) zugeführt werden.

Der betrachtete Mikrocontroller 1 zeichnet sich dadurch aus, daß dieser dazu ausgelegt ist, die in den Speicher 11 ein­ zuschreibenden Daten vor dem Einschreiben in den Speicher 11 zu decodieren; die in den Speicher 11 einzuschreibenden Daten werden in codierter Form bereitgestellt (in codierter Form über die Ein- und/oder Ausgabeanschlüsse IO1 bis IOn des Mi­ krocontrollers 1 in diesen eingegeben). In den Speicher 11 einzuspeichernde Daten (jedenfalls von außerhalb des Mikro­ controllers stammende Daten) können nicht in den Speicher 11 eingeschrieben werden, ohne vorher decodiert zu werden.

Das Decodieren der Daten wird im betrachteten Beispiel dürch die Decodiereinheit 12 bewerkstelligt. Die Decodiereinheit 12 kann hardwaremäßig oder softwaremäßig realisiert sein. Im Fall einer vollständigen oder teilweisen softwaremäßigen Rea­ lisierung der Decodiereinheit 12 ist das die Decodierung be­ werkstelligende Programm vorzugsweise innerhalb des Mikro­ controllers 1 (am besten in einem internen ROM desselben) ge­ speichert. Insbesondere beim Einsatz symmetrischer Codier- und Decodierverfahren, aber nicht ausschließlich in diesem Fall, sollte dafür gesorgt werden, daß das Decodierprogramm und vor allem der von diesem verwendete Decodierschlüssel nicht aus dem Mikrocontroller ausgelesen werden können. Fer­ ner sollte dafür gesorgt werden, daß das Decodierprogramm und/oder der von diesem verwendete Decodierschlüssel nicht von außerhalb des Mikrocontrollers überschrieben oder in son­ stiger Weise verändert werden können.

Weil die in den Speicher 11 einzuschreibenden Daten vor dem Einschreiben in den Speicher decodiert werden, können in den Mikrocontroller 1 nicht einfach die Daten eingegeben werden, die letztlich im Speicher 11 zu stehen kommen sollen; die ei­ gentlich in den Speicher einzuspeichernden Daten müssen vor ihrer Eingabe in den Mikrocontroller vielmehr so codiert sein, daß deren Decodierung wieder zu den ursprünglichen (ei­ gentlich in den Speicher einzuschreibenden) Daten führt.

Ohne Kenntnis der Art und Weise, auf welche die Daten codiert werden müssen, um beim Decodieren wieder in die ursprüngli­ chen Daten umgewandelt zu werden, kann der Speicher 11 nicht wunschgemäß beschrieben werden. Sofern nicht zusätzlich wie bisher mit Paßwörtern oder sonstigen den Zugriff auf den Speicher ausschließenden oder erschwerenden Schutzmechanismen gearbeitet wird, ist zwar nicht ausgeschlossen, daß Daten in den Speicher 11 eingeschrieben werden, doch sind diese Daten mit an Sicherheit grenzender Wahrscheinlichkeit nicht die Da­ ten, mit denen der Speicher 11 eigentlich beschrieben werden soll.

Die codierten Daten sind vorzugsweise asymmetrisch, d. h. so codiert, daß der zum Codieren verwendete Codierschlüssel und der zum Decodieren verwendete Decodierschlüssel unterschied­ lich sind. Dann kann der Codierschlüssel selbst durch ein Herausfinden des Decodierschlüssels nicht ermittelt werden.

Die codierten Daten können auch symmetrisch, d. h. so codiert werden, daß der zum Codieren verwendete Codierschlüssel und der zum Decodieren verwendete Decodierschlüssel gleich sind. In diesem Fall sollte jedoch unbedingt dafür gesorgt werden, daß der zumindest der Decodierschlüssel nicht aus dem Mikro­ controller ausgelesen oder auf sonstige Weise ermittelt oder verändert werden kann.

Insbesondere bei symmetrisch codierten Daten, aber nicht aus­ schließlich in diesem Fall, sollten während des Decodierens zur Verfolgung der im Mikrocontroller ablaufenden Vorgänge vorgesehene Überwachungsmechanismen wie beispielsweise der Debug-Support ganz oder teilweise deaktiviert werden.

Ohne Kenntnis des Codierschlüssels können Daten, die in den Speicher eingeschrieben werden sollen, nicht so codiert wer­ den, daß deren Decodierung wieder zu den ursprünglichen Daten führt.

Der Codierschlüssel muß aber - anders als Paßwörter, beson­ dere Vorgehensweisen beim Umprogrammieren und dergleichen Schutzmechanismen - den die Umprogrammierung vornehmenden Stellen nicht bekannt sein.

Für den Fall, daß es sich bei dem Mikrocontroller um einen Mikrocontroller eines Kraftfahrzeug-Steuergerätes handelt, bedeutet dies, daß die Werkstätten den Codierschlüssel nicht kennen müssen. Das Umprogrammieren des Speichers dient näm­ lich in erster Linie zur vom Fahrzeughersteller veranlaßten Beseitigung von Fehlern und zu Verbesserungen, und für der­ artige Umprogrammierungen ist es nicht erforderlich, daß die Werkstätten in der Lage sind, aus in den Speicher ein­ zuschreibenden Daten selbst vorschriftsmäßig codierte Daten zu generieren. Es genügt, wenn die Werkstätten in der Lage sind, den Speicher unter Verwendung von ihnen zur Verfügung gestellten codierten Daten umzuprogrammieren. Hierfür müssen die Werkstätten aber "nur" die vorschriftsmäßig codierten Da­ ten erhalten. Die vorschriftsmäßig codierten Daten können auch ohne Kenntnis des Codierschlüssels in den Speicher ein­ geschrieben werden.

Dabei kann vorgesehen werden, daß vorschriftsmäßig codierte Daten nur von einer oder einigen wenigen Stellen (beispiels­ weise nur vom Fahrzeughersteller) erhalten werden können. Dann genügt es, wenn ausschließlich der Fahrzeughersteller selbst den Codierschlüssel kennt.

Sofern ein Fahrzeugbesitzer das Kraftfahrzeug-Steuergerät in­ dividuell eingestellt haben möchte, muß er oder die ihn be­ treuende Werkstatt beim Fahrzeughersteller zur Um­ programmierung geeignete (codierte) Daten bestellen, die die Sonderwünsche berücksichtigen. Der Fahrzeughersteller, und zwar nur dieser kann entscheiden, ob den Sonderwünschen des Fahrzeugbesitzers entsprochen werden kann und darf; gegebe­ nenfalls kann vereinbart und/oder explizit darauf hingewiesen werden, daß mit der Umprogrammierung die Garantie und/oder die Betriebserlaubnis erlischt.

Im einfachsten Fall ist der Codierschlüssel für alle Fahr­ zeuge eines Herstellers oder eines bestimmten Modells gleich oder nur vom verwendeten Mikrocontroller-Typ abhängig. Ein noch sicherer Schutz vor einem unbefugten Umprogrammieren des Speichers läßt sich erzielen, wenn für jedes Fahrzeug ein ei­ gener Codierschlüssel verwendet werden muß oder kann. Dadurch kann verhindert werden, daß codierte Daten für mehrere Fahr­ zeuge verwendet werden können; eine Umprogrammierung des Speichers kann dann nur an dem Fahrzeug durchgeführt werden, für welches diese beim Fahrzeughersteller beantragt wurde.

Zusätzlich kann vorgesehen werden, daß in der den Speicher 11 enthaltenden Vorrichtung Informationen über erfolgte und/oder versuchte Umprogrammierungen des Speichers 11 gespeichert werden. Ein Speicherumprogrammierungen dokumentierender Spei­ cher kann beispielsweise als FIFO- oder LIFO-Speicher reali­ siert sein. Ein solcher Zusatzspeicher ermöglicht es dem Fahrzeughersteller, in der Vergangenheit versuchte oder er­ folgte Umprogrammierungen des Speichers zu erkennen und/oder zu rekonstruieren.

Zusätzlich kann vorgesehen werden, im Mikrocontroller während des Decodiervorganges nach dem Zufallsprinzip oder nach einem festen Schema bestimmte Operationen (beispielsweise ein nach dem Zufallsprinzip erfolgendes Programmieren eines im Mikro­ controller enthaltenen Timers) auszuführen, die mit dem Deco­ diervorgang nichts zu tun haben. Dadurch kann verhindert wer­ den, daß beispielsweise aus der Temperatur, der Tempera­ turverteilung, elektromagnetischer Strahlung etc. Rück­ schlüsse über den Decodiervorgang gezogen werden können.

Ein wie beschrieben erfolgendes Umprogrammieren von um­ programmierbaren Speichern erweist sich unabhängig von den Einzelheiten der praktischen Realisierung als sehr vorteil­ haft: die Gefahr eines unbefugten Umprogrammierens von Spei­ chern ist dadurch erkennbar auf ein Minimum reduzierbar.

Bezugszeichenliste

1

Mikrocontroller

11

Speicher

12

Decodiereinheit
IO1-IOn Ein- und/oder Ausgabeanschlüsse

Claims (10)

1. Vorrichtung mit einem Speicher zur Speicherung von Da­ ten, dadurch gekennzeichnet, daß die Vorrichtung (1) dazu ausgelegt ist, in den Speicher (11) einzuschreibende Daten vor dem Einschreiben in den Spei­ cher zu decodieren.

2. Verfahren zum Einschreiben von Daten in einen Speicher, dadurch gekennzeichnet, daß die in den Speicher (11) einzuschreibenden Daten in co­ dierter Form bereitgestellt werden und in der den Speicher enthaltenden Vorrichtung (1) vor dem Einschreiben in den Speicher decodiert werden.

3. Vorrichtung oder Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Decodierung hardwaremäßig erfolgt.

4. Vorrichtung oder Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Decodierung softwaremäßig erfolgt.

5. Vorrichtung oder Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß das die Decodierung bewirkende Programm in der den Spei­ cher (11) enthaltenden Vorrichtung (1) gespeichert ist.

6. Vorrichtung oder Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß das die Decodierung bewirkende Programm von außerhalb der den Speicher (11) enthaltenden Vorrichtung (1) nicht ausles­ bar ist.

7. Vorrichtung oder Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß das die Decodierung bewirkende Programm von außerhalb der den Speicher (11) enthaltenden Vorrichtung (1) nicht ver­ änderbar ist.

8. Vorrichtung oder Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß während des Decodierens in der den Speicher (11) enthal­ tenden Vorrichtung (1) vorgesehene Hilfsmittel zur Verfolgung der in der Vorrichtung ablaufenden Vorgänge zumindest teil­ weise deaktiviert werden.

9. Vorrichtung oder Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß in der den Speicher (11) enthaltenden Vorrichtung (1) In­ formationen über erfolgte und/oder versuchte Umprogrammie­ rungen des Speichers gespeichert werden.

10. Vorrichtung oder Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß in der den Speicher (11) enthaltenden Vorrichtung (1) während des Decodierens nicht zur Decodierung gehörende Ope­ rationen durchgeführt werden.